Trezor: dados de 81 mil clientes expostos por fornecedor que mentiu sobre exclusão
A Trezor confirmou que dados pessoais de ~80.700 clientes foram expostos após o ataque ao seu parceiro logístico ShipMonk via zero-day crítico no Metabase (CVE-2026-72898, CVSS 10.0). O agravante central não é técnico: 67 mil registros adicionais existiam porque a ShipMonk não honrou um contrato de exclusão de dados — e emitiu confirmações escritas falsas por anos.
Analytic judgments
Every assessment carries its confidence level explicitly, following intelligence practice (ICD 203 / FIRST). High confidence is not certainty; low confidence is not a guess — it’s the weight the available evidence supports.
O incidente é confirmado pela própria Trezor em comunicado oficial (trezor.io/blog) e pela notificação direta aos clientes; o número total de ~80.700 afetados é verificado, não alegado.
O vetor técnico — SQL injection não autenticado no endpoint de redefinição de senha do Metabase (CVE-2026-72898, CVSS 10.0) — é corroborado pela notificação da ShipMonk aos clientes, pela análise da Halborn e pelo advisory público do Metabase; a exploração ocorreu como zero-day em 3 de agosto, antes da divulgação pública em 6 de agosto.
A atribuição ao grupo ShinyHunters tem base moderada: a Halborn e a SecurityWeek reportam e-mails de extorsão enviados à ShipMonk e uma listagem no site de vazamentos do grupo rotulada 'Metabase' com ~7 GB; não há confirmação técnica direta (hash de ferramentas, TTPs exclusivas) publicada por fonte independente.
O aspecto mais grave do incidente é governamental, não técnico: a ShipMonk reteve dados de pedidos de 2019–2021 e forneceu confirmações escritas reiteradas de exclusão que eram falsas — o que representa falha simultânea de controle técnico (ausência de verificação independente de exclusão) e de integridade contratual.
O risco residual mais imediato para os 80.700 afetados não é perda direta de criptoativos — carteiras, seeds e chaves privadas não foram comprometidas — mas sim ataques físicos dirigidos (wrench attacks) e phishing altamente personalizado, dado que o conjunto exposto é uma lista verificada de donos de hardware wallet com endereço residencial.
O CVE-2026-72898 afetou outros operadores Metabase no mesmo período (Framework, Anaconda, n8n, Bits of Gold), sugerindo campanha oportunista de varredura, não ataque dirigido exclusivamente à Trezor/ShipMonk — o que eleva o risco de dados já circulando em múltiplos atores.
Analysis
O incidente tem duas camadas distintas e é um erro analítico colapsá-las. A primeira é técnica: um zero-day de SQL injection (CVE-2026-72898, CVSS 10.0) no endpoint de reset de senha do Metabase — ferramenta de business intelligence open-source que a ShipMonk operava em instância auto-hospedada exposta à internet — permitiu que um atacante não autenticado injetasse SQL arbitrário, elevasse privilégios a administrador e exfiltrasse todos os dados acessíveis pelas conexões do Metabase. O Metabase, por design, é apontado aos data stores mais completos da organização; comprometê-lo não rende um recorte de dados, rende o join. A vulnerabilidade foi explorada primeiro como zero-day (3 de agosto) e só patcheada e divulgada em 6 de agosto. Mais de 97% das instâncias auto-hospedadas em branches afetadas estavam sem patch no momento do advisory, segundo análise publicada — o que explica por que o CVE alcançou múltiplas empresas (Framework, Anaconda, n8n, Bits of Gold) em um cluster de quatro dias.
A segunda camada, mais grave para fins de governança, é contratual e de compliance: os 67 mil registros adicionais não existiriam se a ShipMonk tivesse cumprido o contrato. A Trezor opera uma política de retenção de 90 dias e contratualmente exige que parceiros de fulfillment excluam ou anonimizem dados de pedidos após esse prazo. A ShipMonk, segundo a Trezor, forneceu confirmações escritas reiteradas de que a exclusão havia sido feita. Não havia sido. Dados de pedidos de novembro de 2019 a agosto de 2021 permaneceram acessíveis em 2026 — até sete anos após o primeiro registro. A Trezor nunca verificou tecnicamente se a exclusão era real, confiando exclusivamente em declarações contratuais. Essa é a falha de processo central que o incidente expõe, independentemente do vetor técnico.
Sobre atribuição: a Halborn atribui o ataque ao ShinyHunters com base em análise de padrão e no registro de e-mails de extorsão enviados à ShipMonk. A SecurityWeek e o BleepingComputer corroboram a existência dos e-mails de extorsão e de uma listagem no site de leaks do grupo rotulada 'Metabase' com ~7 GB de dados. A atribuição é plausível e consistente com o histórico do grupo (alvo de SaaS, e-commerce e cadeias de fornecimento), mas não há IoC técnico publicado por fonte independente que vincule diretamente o ShinyHunters à exfiltração específica dos dados da Trezor. Confiança moderada.
O risco residual para os 80.700 afetados merece atenção redobrada: o conjunto de dados exposto é uma lista verificada de compradores de hardware wallet com nome, telefone, e-mail e endereço residencial — não credenciais, mas informação de alto valor para ataques físicos (wrench attacks, cartas falsificadas) e phishing hiperpersonalizado. O histórico pós-Ledger (2020) é o benchmark: ondas de phishing, hardware wallet falsificado enviado pelo correio, cartas com hologramas e assinaturas forjadas. Donos de hardware wallet que receberam pedidos entre 2019 e 2021 estão agora na mesma lista que os afetados recentes. A Trezor ainda não confirmou casos de uso indevido dos dados, mas o risco é estruturalmente alto.
Um padrão recorrente merece registro: este é o terceiro incidente de terceiros envolvendo a Trezor em quatro anos. Em 2022, um breach na Mailchimp expôs dados de clientes e foi seguido de phishing. Em janeiro de 2024, acesso não autorizado ao portal de suporte de terceiros expôs nome, usuário e e-mail de ~66 mil usuários — e foi usado imediatamente em phishing de recovery seed. Agora, em 2026, é o parceiro logístico. O dispositivo Trezor nunca foi comprometido remotamente; a superfície de ataque está inteiramente na cadeia de fornecedores. A empresa parece ter um problema estrutural de gestão de risco de terceiros, não apenas um problema de azar.
Timeline
- 03 Aug 2026Primeira exploração conhecida do CVE-2026-72898 como zero-day nos sistemas Metabase da ShipMonk, segundo análise da Halborn.
- 06 Aug 2026Metabase publica advisory e patch para CVE-2026-72898 (CVSS 10.0, SQL injection no endpoint de reset de senha); ShipMonk notifica Trezor da violação nesta data, segundo comunicado da própria ShipMonk enviado a clientes.
- 10 Aug 2026ShipMonk informa Trezor formalmente do acesso não autorizado aos seus sistemas contendo dados de pedidos de clientes.
- 11 Aug 2026CISA adiciona CVE-2026-72898 ao catálogo Known Exploited Vulnerabilities com uso confirmado em ransomware.
- 13 Aug 2026Trezor divulga publicamente o incidente via post no X e blog oficial; alcance inicial: 11.742 clientes com exposição completa e 1.947 com exposição parcial (total: ~13.689), cobrindo pedidos entre 10 maio e 8 agosto de 2026 nos EUA, Reino Unido, Suécia, Colômbia, Brasil, Itália e Portugal.
- 14 Aug 2026Trezor atualiza comunicado para esclarecer que os 1.947 clientes com exposição parcial podem incluir pedidos anteriores a maio de 2026.
- 02 Sep 2026ShipMonk informa Trezor que os arquivos roubados continham também dados de pedidos de novembro de 2019 a agosto de 2021 — período em que a empresa havia confirmado por escrito a exclusão dos dados.
- 04 Sep 2026Trezor publica segunda atualização no blog oficial confirmando ~67.000 clientes adicionais nos EUA afetados; total sobe para ~80.700. Todos os afetados notificados por e-mail a partir de security@trezor.io.
- 07 Sep 2026BleepingComputer publica matéria consolidando o total de 81.000 clientes afetados; ShipMonk ainda não emitiu comunicado público próprio.
Data involved
Impact
80.689 clientes da Trezor tiveram nome completo, e-mail, telefone, endereço residencial e número de pedido expostos. Destes, ~13.689 fizeram pedidos entre maio e agosto de 2026 em sete países (EUA, Reino Unido, Suécia, Colômbia, Brasil, Itália e Portugal); ~67.000 são clientes norte-americanos que fizeram pedidos entre novembro de 2019 e agosto de 2021 e cujos dados não foram excluídos conforme contrato. Nenhum dado de carteira (seed phrase, chave privada, conteúdo dos pacotes) foi exposto. Clientes brasileiros e colombianos estão entre os afetados da coorte mais recente. A Trezor notificou todos os afetados diretamente por e-mail (security@trezor.io); quem não recebeu o e-mail não está na lista. O risco imediato é phishing personalizado e ataques físicos dirigidos a detentores de hardware wallet identificados por nome e endereço.
Technical links
Recommendations
- Clientes afetados devem tratar qualquer comunicação não solicitada — e-mail, SMS, carta física, ligação — que mencione Trezor, carteira cripto ou 'verificação de segurança' como potencialmente maliciosa; nunca digitar recovery seed em nenhum site ou fornecer a terceiros independentemente do pretexto.
- Organizações que terceirizam fulfillment ou logística devem implementar verificação técnica de exclusão de dados (ex: relatório assinado com hash de snapshot pré e pós exclusão, ou auditoria independente periódica), em vez de aceitar confirmação escrita como prova suficiente de compliance com políticas de retenção.
- Qualquer instância Metabase auto-hospedada deve ser atualizada imediatamente para a versão que corrige CVE-2026-72898; instâncias não patcheadas com exposição pública devem ser consideradas comprometidas até prova em contrário, com revisão de logs de acesso retroativa a partir de 3 de agosto de 2026.
- Equipes de segurança devem verificar se há instâncias Metabase — auto-hospedadas ou de cloud tenants compartilhados — em sua cadeia de fornecedores, dado o blast radius documentado do CVE-2026-72898 em múltiplas organizações durante a janela pré-patch.
- Donos de hardware wallets cujos dados estejam neste vazamento devem considerar acesso reforçado à residência como medida preventiva contra wrench attacks, com base no histórico documentado pós-Ledger 2020 de ataques físicos a detentores identificados por endereço.
Intelligence gaps
What we still don’t know. A report that doesn’t declare its holes is selling, not analyzing.
A ShipMonk não emitiu comunicado público próprio até a data deste relatório — uma declaração pública da ShipMonk resolveria dúvidas sobre o escopo técnico exato da exfiltração e se há outros clientes afetados além da Trezor.
Não há confirmação pública de reguladores (ICO no Reino Unido, ANPD no Brasil, FTC/autoridades estaduais nos EUA) de que foram notificados, nem de eventuais penalidades ou investigações — a abertura de investigação regulatória clarificaria o status legal da ShipMonk e eventuais obrigações adicionais da Trezor.
A atribuição ao ShinyHunters repousa em e-mails de extorsão e padrão comportamental, não em evidência técnica primária publicada — IoCs publicados por pesquisador independente ou ação de autoridade policial resolveriam a questão.
Não se sabe se os dados roubados foram publicados, vendidos ou usados em ataques — monitoramento contínuo de fóruns e dark web é a única forma de rastrear isso, e nenhuma fonte confirmou circulação ativa até a publicação deste relatório.
Não há informação pública sobre quantas outras empresas clientes da ShipMonk foram afetadas pelo mesmo incidente — a ShipMonk clarificando o escopo total do breach resolveria essa lacuna.
Sources and rating
Admiralty rating (NATO standard, used by CERT-EU and OpenCTI): the letter rates SOURCE reliability (A completely reliable to F not rated); the number rates INFORMATION credibility (1 confirmed to 6 cannot be judged). Both dimensions are assessed independently — a good source does not make weak information reliable.